Blackout：实践指南

工作中遇到相关需求时，Blackout值得先读说明，因为它主要用于杀死反恶意软件保护的进程（BYOVD）。对日常自动化任务来说，输入边界、依赖和失败处理如果不清楚就很难稳定复用往往决定它能否落地，不能只用安装成功来判断。我的评估方法是用一项范围明确的真实任务完成最小试跑，然后检查配置时间、输出质量、异常信息和维护痕迹是否与文档一致。它更像给愿意先做小范围验证并复查原始文档的团队准备的可审查方案，是否长期使用应由试跑数据决定。

停电

• 利用 gmer 驱动程序有效禁用或杀死 EDRs 和 AVs。
• 它顺利绕过HVCI
• 样本来源于loldrivers https://www.loldrivers.io/drivers/7ce8fb06-46eb-4f4f-90d5-5518a6561f15/

用途

• 将驱动程序 Blackout.sys 放在与可执行文件相同的路径中
• 可执行文件应在管理员上下文中运行
• Blackout.exe -p <process_id>
• 对于 Windows Defender 保持程序运行以防止服务重新启动